--- title: "Kuzey Koreli hackerlar Ukrayna'da savaş istihbaratı için oltalama saldırıları düzenliyor" url: "https://teknotayf.com/haber/kuzey-koreli-hackerlar-ukrayna-da-savas-istihbarati-icin-oltalama-saldirilari-duzenliyor" markdown_url: "https://teknotayf.com/haber/kuzey-koreli-hackerlar-ukrayna-da-savas-istihbarati-icin-oltalama-saldirilari-duzenliyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-14 00:24:45" updated: "2026-10-14 06:07:03" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Kuzey Kore","Oltalama Saldırısı","Rusya-Ukrayna Savaşı","Kimsuky"] source: "Dark Reading" --- # Kuzey Koreli hackerlar Ukrayna'da savaş istihbaratı için oltalama saldırıları düzenliyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/kuzey-koreli-hackerlar-ukrayna-da-savas-istihbarati-icin-oltalama-saldirilari-duzenliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Kuzey Kore devlet destekli hackerların, Rusya-Ukrayna savaşındaki kendi askerlerinin durumu hakkında istihbarat toplamak için Ukraynalı hükümet, politika ve akademi çevrelerini hedef alan oltalama saldırıları yürüttüğü ortaya çıktı. Güney Koreli Genians Güvenlik Merkezi'ne göre Kimsuky grubuna atfedilen kampanya yıllardır sürüyor ve oldukça basit yöntemler kullanıyor. - **Yayın tarihi:** 2026-10-14 00:24 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Kuzey Kore, Oltalama Saldırısı, Rusya-Ukrayna Savaşı, Kimsuky - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/cyberattacks-data-breaches/north-korea-phishes-ukrainians-war-intel) ![Kuzey Koreli hackerlar Ukrayna'da savaş istihbaratı için oltalama saldırıları düzenliyor](https://teknotayf.com/assets/uploads/2026/10/ec08d02bb0a69851308b8dce8ae1b7cf.jpg) Kuzey Kore (Kore Demokratik Halk Cumhuriyeti), Ukrayna'daki kendi savaş çabası hakkında bilgi edinmeye çalışıyor; bunun için de basit "yanıt tuzağı" oltalama saldırılarına başvuruyor. **Kuzey Kore devlet destekli hackerlar**, Ukrayna'nın Rusya-Ukrayna savaşındaki kendi konumu hakkında istihbarat çalmak için ülkedeki hükümet, politika ve akademi çevrelerine hedefli oltalama saldırıları düzenliyor. Kuzey Kore, Ekim 2024'te Rusya'nın Ukrayna'daki savaşına katıldı. Müttefikine en göze çarpan desteği, cephe hattına yaklaşık **14.000-15.000 asker** göndermek oldu. Ancak her şey planlandığı gibi gitmedi. Örneğin Ukrayna, iki Kuzey Koreli savaş esirini Güney Kore'ye teslim etti. 4.000 mil ötedeki gelişmelerden haberdar olmak isteyen Kuzey Koreli tehdit aktörleri, istihbarat toplamak için Ukraynalı kurum ve kişileri oltalama saldırılarıyla hedef alıyor. Güney Kore merkezli Genians Güvenlik Merkezi'ne göre bu casusluk kampanyası birkaç yıldır sürüyor. Ve tıpkı Kuzey Kore'nin savaş çabasının geri kalanı gibi, biraz acemice görünüyor. ## Kuzey Kore'nin Ukrayna'daki casusluğu gelişiyor Birkaç yıldır farklı araştırma grupları, Kuzey Koreli hackerların Ukrayna'yı hedef aldığına dair kanıtlar topluyor. İlk olarak Proofpoint araştırmacıları, Kuzey Kore hükümetiyle bağlantılı hackerların Ukrayna devlet kurumlarına hedefli oltalama saldırıları düzenlediğini açıkladı. Bu faaliyet en az Şubat 2025'e, yani Kim Jong-Un'un savaş desteğinin başlamasından yalnızca birkaç ay sonrasına dayanıyor. Proofpoint bu aktörü **TA406** olarak izliyor; bu grup, daha çok Konni ya da Opal Sleet olarak bilinen grupla örtüşüyor. Ağustos 2026'da sivil toplum kuruluşu Ukrayna Dijital Güvenlik Laboratuvarı (DSLU), bir Ukraynalı kamu görevlisine yönelik hedefli oltalama saldırısını inceledi. Saldırıyı belirli bir tehdit aktörüne bağlamadı ama "bunun münferit bir olay olmadığını" özellikle vurguladı. Geçen ay da Seul'deki Kore Siber Güvenlik Konferansı'nda (KSCON) 2026'da yerli güvenlik şirketi Enki White Hat'ten bir araştırmacı, Kuzey Kore'nin gelişmiş kalıcı tehdit (APT) grubu "Kimsuky" ile ilişkilendirdiği taktik, teknik ve prosedürleri anlattı. Sunum özellikle Güney Koreli hedeflere yönelik süregelen saldırılara odaklanıyordu. Pazar günü yayımladığı blog yazısında Genians, tüm bu ayrı bulguları tek ve tutarlı bir tabloda birleştirdi: Ukrayna'dan savaş istihbaratı elde etmeyi amaçlayan bir Kimsuky kampanyası. Araştırmacılar daha ayrıntılı olarak, Kimsuky'nin "savaşın gidişatı, Kuzey Kore asker kayıplarının boyutu, esirlerin sorgulanması ve işleme konulmasındaki eğilimler" ve özellikle Ukrayna'dan Güney Kore'ye gönderilen iki askerin durumu hakkında bilgi topladığını yazdı. İşin ironik yanı, Proofpoint baş tehdit araştırma mühendisi Greg Lesnewich'in belirttiği gibi: "Ukrayna'yı hedeflemeye geçmeden önce asıl ilgi alanları Batı'daki Rusya uzmanlarıydı. Rusya'nın ne düşündüğünü anlamak için Rusya ile ilgili uzmanları hedefliyorlardı." Lesnewich'e göre bu değişim, Kuzey Koreli yetkililerin Rus hükümetinden doğru bilgi alamadığının işareti olabilir. "Bu konudaki tahminim şu: Rusya onlara askerlerinin Ukrayna'da ne kadar kalacağını söylemezdi, çünkü ellerinde bir takvim yoktu. Bu yüzden Ukrayna'daki kurumları hedeflediler; Ukrayna'nın ne kadar dayanabileceğine dair bir tahmin elde edip edemeyeceklerini görmek için" diye konuştu. ## Kimsuky oltalama saldırıları nasıl görünüyor? Bunların hepsi kulağa büyük bir operasyon gibi gelebilir ama pratikte saldırıların kendisi oldukça ilkel. Tehdit aktörünün elindeki en iyi taktik "yanıt tuzağı" olabilir. İçinde zararlı yazılım olan bariz oltalama e-postaları göndermek yerine, hedefle yakınlık kurmayı ve e-posta güvenlik bariyerlerini gizlice aşmayı amaçlayan nispeten zararsız ilk selamlaşma mesajları gönderiyor. Örneğin araştırmacılar, Ukraynalı dış politika ve güvenlik uzmanlarını hedef alan bir hedefli oltalama saldırısı tespit etti; saldırganlar KSCON 2026'nın organizasyon komitesi gibi davranıyordu. E-postalarda gerçek etkinlik ayrıntıları ve alıcının uzmanlık alanına atıflar yer alıyor; alıcı konuk konuşmacı olarak gelmeyi kabul ederse uçak ve konaklama masrafları ile bir sunum ücreti öneriliyordu. Kurbanlar bu cazip teklife yanıt verirse resmi "davetiyeleri" geliyordu: PDF simgesi ve çift uzantı (".pdf.lnk") ile PDF gibi görünen zararlı bir kısayol (LNK) dosyası. Yanıt tuzağının yanı sıra Genians'ın Kimsuky'ye atfettiği faaliyet; çok basit komut gizleme, kalıcılık için zamanlanmış görevler ve GitHub ile GitLab gibi herkese açık depo hizmetleri üzerinden barındırılan betikler, belgeler ve komutlar içeriyor. Diğer tembel hackerlar gibi grup, büyük dil modelleriyle (LLM) de deneyler yapıyor. Son saldırılarında, kurbanları Google Meet görüşmelerine davet eden ama aslında Zoom bağlantıları içeren e-postalar gibi oldukça bariz hatalar da görülüyor. "Bu alanda yenilikçi değiller. Orta karar bir aktör" diyen Lesnewich şöyle devam ediyor: "Birkaç kez başka bir tehdit aktörünü — muhtemelen herkese açık bloglardan — belirli bir bulaşma zinciri kullanırken izlediklerini, sonra bunu ödünç alıp kendi hedeflerine karşı kullandıklarını gördük." Kurumlar için şanslı olan şu ki, bu pek de ilham verici olmayan Kuzey Koreli tehdit aktörleri kolayca fark edilebiliyor. "Onları bulmak için çok çaba sarf etmemiz gerekmiyor. Sadece tempo ve hacim insanı gerçekten yıpratabiliyor" diye kabul ediyor. ## Tehdit aktörleri ayrışıyor, atıf bulanıklaşıyor Lesnewich, Dark Reading'e yaptığı açıklamada, TA406 olarak izledikleri tehdit aktörünün 2026'da 2025'e kıyasla daha az aktif göründüğünü, yaz aylarında özellikle sessiz kaldığını söyledi; ancak bunun nedeni evrim geçiriyor olması olabilir. Daha yeni ve daha az tanımlı bazı gruplar "neredeyse TA406'nın farklı yönlere giden parçaları gibi hissettiriyor" diyor. Örneğin Proofpoint, Genians'ın yeni blog yazısında anlatılan GitHub bağlantılı saldırı zincirini henüz adlandırılmamış bir tehdit aktörüyle ilişkilendiriyor. "Gördüğümüz bu alt kümelenmelerden birine 'Honeycrisp' diyoruz" diye sürdürüyor ve bu adlandırmanın yalnızca geçici olduğunu belirtiyor. Honeycrisp ile ilgili olarak şunları söylüyor: "Eğitim alanına yönelik epeyce hedefleme görüyoruz; özellikle de yükseköğretim ya da düşünce kuruluşları gibi yerlere geçmiş eski diplomatların kimliğine bürünme ya da onları hedefleme. Yani iki küme görüyoruz: Genians'ın gördükleriyle aynı şeyleri yapan TA406. Bir de benzer şeyler yapan ama hedeflemesi bambaşka olan başka bir küme." Genians'ın atfı hakkında özel olarak yorum yapmadan, Lesnewich siber güvenlik analistlerinin genel olarak birbirinden farklı olabilecek Kuzey Koreli aktörleri genel sepetlere toplamakta biraz özensiz davrandığını savunuyor. "Rus APT'leri için bu ayrımı yapıyoruz — Sandworm bağlantılı bir aktörün erişimi APT28 bağlantılı bir aktöre devrettiğini söylüyoruz. Ama nedense Kuzey Kore söz konusu olunca her şey şu kalıba atılıyor: 'Taktikleri iyiyse Lazarus, kötüyse Kimsuky'" diye yakınıyor. "Benim çalışma tezim" diyor Lesnewich, "2026 başındaki Keşif Genel Bürosu (RGB) [Kuzey Kore'nin istihbarat kurumu] yeniden yapılanması ve Kuzey Kore'nin operatörleri ve personeli sürekli yer değiştirmesi — en azından dışarıdan bakınca anlayabildiğimiz kadarıyla — tarihsel sınırların alt üst olmasına yol açtı; yani 'şu' bir aktörü, 'bu' da diğerini tanımlıyordu." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/kuzey-koreli-hackerlar-ukrayna-da-savas-istihbarati-icin-oltalama-saldirilari-duzenliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.